Go服务端启用TLS安全连接必须用tls.Listen替代net.Listen，且证书SAN须匹配监听地址、显式设置MinVersion≥TLS12、限定AEAD加密套件，私钥权限须为600并使用绝对路径。
Go服务端要启用安全连接，必须用 tls.Listen 替代 net.Listen，且证书路径、TLS版本、加密套件这三项不配对就直接报错或被中间人降级。
监听地址写法必须匹配证书的 SAN（Subject Alternative Name）
证书不是“能用就行”，它绑定的是具体域名或IP。比如你用 localhost 测试，但证书只签了 example.com，tls.Listen("tcp", "127.0.0.1:443", config) 会握手失败，错误是 x509: certificate is valid for example.com, not 127.0.0.1。
- 开发时推荐用
localhost或127.0.0.1签发证书，并确保 SAN 包含两者 - 生产环境若监听
0.0.0.0:443，证书必须覆盖真实域名（如api.myapp.com），不能只写 IP - 别用
"":443这种写法——它等价于0.0.0.0:443，但证书没覆盖通配符或所有可能访问入口时，客户端会拒绝连接
tls.Config 必须显式设置最低 TLS 版本和加密套件
Go 默认允许 TLS 1.0/1.1（已废弃），不设 MinVersion 就等于放行弱协议。同时，不指定 CipherSuites 会导致协商出不安全的套件（如 CBC 模式），尤其在旧客户端上风险更高。
- 强制 TLS 1.2 起步：
MinVersion: tls.VersionTLS12 - 禁用不安全套件，只留 AEAD 类型：
CipherSuites: []uint16{tls.TLS_ECDHE_ECDSA_WITH_AES_256_GCM_SHA384, tls.TLS_ECDHE_RSA_WITH_AES_256_GCM_SHA384} - 若用 ECDSA 证书，
CurvePreferences推荐加tls.X25519，比默认的 P-256 更快更安全
证书文件权限和加载时机容易被忽略
私钥文件如果权限太宽（如 644），tls.Listen 会静默失败或 panic；而证书加载发生在 Listen 调用时，不是启动后才读——这意味着配置错误会在服务根本没起来时就卡住。
- 私钥必须设为
600：chmod 600 server.key - 证书和私钥路径要用绝对路径，相对路径在 daemon 化（如 systemd）后常因
WorkingDirectory变化而失效 - 别在
handleConnection里重载证书——每次新连接都去读磁盘，既慢又可能因并发读写损坏
最常踩的坑是：以为只要把 net.Listen 换成 tls.Listen 就算完成，结果证书不匹配、TLS 版本太低、私钥权限不对，三者任一出问题都会让客户端连不上，且错误日志往往藏在底层 handshake 阶段，不打印明确提示。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
